For å innhente og behandle personopplysninger uten samtykke, må det foreligge et rettslig grunnlag. Utgangspunktet for klagesaken var at en forelder stilte spørsmål ved om det finnes behandlingsgrunnlag for å benytte en ikke-anonym undersøkelse som Spekter. Kommunen på sin side mente at det var rettslig grunnlag for dette i Opplæringsloven.
I den påfølgende saksbehandlingen, ble det i tillegg satt søkelys på hvorvidt kommunen brøt med grunnleggende vern av personopplysninger og informasjonssikkerhet.
I Personvernnemndas endelige beslutning kommer det frem at:
1.
Arendal kommune har behandlingsgrunnlag for å benytte kartleggingsverktøyet Spekter i skolene i personvernforordningen artikkel 6 nr. 1 bokstav c, jf. opplæringslova kapittel 9 A
2.
Arendal kommune må, for lovlig å kunne benytte Spekter i framtiden, etablere internkontrolldokumentasjon og -rutiner som sikrer etterlevelse av personvernforordningen.
Når det gjelder behandlingsgrunnlag, så slår nemnda fast at kommunens vurdering av Opplæringslova som rettslig grunnlag for bruk av Spekter er riktig. Vi kan spesielt legge merke til følgende vurderinger fra Personvernnemnda:
"Opplæringslova uttrykker klart behovet for kartlegging av elevenes læringsmiljø, jf. kravet til tydelighet i forordningens fortalepunkt 41. Formålet med behandlingen er utdypet i forarbeidene til opplæringslova som fastslår at skolen har både plikt og rett til å behandle personopplysninger som en konsekvens av de handlinger aktivitetsplikten krever, jf. Prop. 57 L (2016-2017) punkt 5.5.2.6."
"Det følger av opplæringslova § 9 A-3 annet avsnitt at skolen skal «arbeide kontinuerlig og systematisk for å fremje helsa, miljøet og tryggleiken til elevane». Bestemmelsen innebærer at skolen ikke kan nøye seg med passivt å vente på at noen klager på forholdene. Skolen må arbeide systematisk gjennom hele skoleåret, stikkprøver er ikke nok. Spekter er et egnet verktøy for å oppfylle skolens plikt til å systematisk fremme helse, miljø og sikkerhet for elevene."
Nemnda sier så i sin vurdering at:
"Det er ingen tvil om at skolen, for å oppfylle sine plikter etter opplæringslova kapittel 9 A, må behandle en rekke personopplysninger, slik departementet også har forutsatt i lovforarbeidene. Alle de opplysningene som etterspørres i spørreskjemaet i Spekter, er opplysninger som etter nemndas vurdering er relevante og nødvendige for at kommunen skal oppfylle sin plikt etter loven til å arbeide systematisk for å sikre et trygt og godt skolemiljø. Det er derfor ikke noe med karakteren av de opplysningene som samles inn som gjør at rettsgrunnlaget i opplæringslova ikke er tilstrekkelig hjemmel for å samle inn og behandle opplysningene. Selv om opplysningene kvalitativt kan bli forskjellig ved digital innsamling sammenlignet med innsamling via for eksempel observasjoner og elevsamtaler, er heller ikke dette noe som medfører at rettsgrunnlaget i dette tilfellet ikke anses tilstrekkelig. Nemnda ser det ikke som sin oppgave å vurdere egnetheten av Spekter versus andre måter å samle inn de samme opplysningene på. Nemnda konkluderer etter dette med at Arendal kommune har behandlingsgrunnlag for den behandlingen av personopplysninger som skjer ved bruk av kartleggingsverktøyet Spekter i personvernforordningen artikkel 6 nr. 1 bokstav c, jf. opplæringslova kapittel 9 A."
Personvernnemnda påpeker med sitt vedtak pkt. 2 at kommunene må etablere internkontrolldokumentasjon og rutiner som sikrer etterlevelse av personvernforordningen dersom de skal bruke verktøy som Spekter. Dette er et viktig ansvar å ivareta som skoleeier. Samtidig som det er skoleeiers ansvar å ha gjennomført personvernkonsekvensvurderinger og etablere nødvendige rutiner og internkontroll, er det også viktig å være bevisst på at disse rutinene må implementeres i hele organisasjonen som er involvert i bruken av Spekter. Det vil si helt inn i det enkelte klasserommet.
I vurderingen til Personvernnemnda er det mange refleksjoner og argumentasjoner som det vil være nyttig for brukere av undersøkelsen å sette seg inn i. Dersom du ønsker fullstendig overblikk over saken og konklusjonen, kan du lese dette i den endelige rapporten fra Personvernnemnda. Denne artikkelen baserer seg på dette svaret.
Det har vært høring på forslag til endringer i barnehageloven, opplæringsloven og friskoleloven med forskrifter når det gjelder personvern. I høringsnotatet ble ikke-anonyme undersøkelser beskrevet spesifikt som et relevant område med tanke på innhenting av personopplysninger. Du kan lese hele høringsnotatet her.
Dette arbeidet har i vår endt opp i Prop. 145 L (2020-2021), dvs. et forslag til lovvedtak som ble sanksjonert i Stortinget 11.06.21 som lovvedtak 124 (2020-2021), med ikrafttredelse 01.08.21.
Du kan lese mer om prosessen og dokumentene her:
www.stortinget.no/no/Saker-og-publikasjoner/Saker/Sak/?p=84434
www.stortinget.no/no/Saker-og-publikasjoner/Vedtak/Beslutninger/Lovvedtak/2020-2021/vedtak-202021-124/?m=0
Med tanke på Spekterdigital, så ser vi at det kan være naturlig å tenke seg at §15-10 er relevant:
Ǥ 15-10 Behandling av personopplysningar
Kommunar, fylkeskommunar og lærebedrifter kan behandle personopplysningar, inkludert personopplysningar som nemnde i personvernforordninga artikkel 9 og 10, når det er nødvendig for å utføre oppgåver etter lova.»
Som vi ser vil det alltid måtte gjøres en avveining på hva som til enhver tid vurderes å være "nødvendig".
Basert på signaler gjennom høringsrunden og lovteksten, så er det sannsynlig at det kan komme forskrifter fra departementet som vil utdype og presisere tolkningen av enkelte deler av loven. I tillegg har det vært signalisert at det kan bli utarbeidet enkelte veiledere for skoler og barnehager med tanke på arbeidet med personvern.
